Токенизация карты: что это, как Apple Pay, Google Pay и Samsung Pay платят через токен и почему российскую карту нельзя добавить в кошелек за рубежом

Токенизация карты — это замена 16-значного номера на цифровой номер-токен, который хранится в телефоне и работает только на нем. Токен выпускает платежная система — Visa Token Service или Mastercard MDES — с согласия банка-эмитента. Карты российских банков Visa и Mastercard с марта 2022 года токены не получают.

Когда вы добавляете карту в Apple Pay или Google Pay, реальный номер карты в телефоне не остается. Платежная система проверяет карту у банка, выпускает токен той же длины, что и номер, и привязывает его к конкретному устройству. В магазин при оплате уходит токен и одноразовая криптограмма, а не номер.

Отсюда главное правило: добавить карту в кошелек можно только тогда, когда ее банк-эмитент подключен к токенизации платежной системы и к самому кошельку. Решает не телефон и не магазин, а банк, выпустивший карту.

Ниже — как токен устроен, чем отличается от номера карты, почему российская карта не токенизируется и как проверить, добавится ли в кошелек зарубежная.

Что такое токенизация карты простыми словами?

Токенизация — это выпуск для карты цифрового двойника: отдельного номера, которым можно платить только с одного устройства или только в одном магазине. Реальный номер остается у банка, а наружу уходит токен. Если токен украдут, заплатить им с другого телефона не получится.

Токен бывает двух видов. Первый — токен устройства: его получает кошелек телефона. Второй — токен магазина: его получает площадка, где вы сохранили карту. Второй вид объясняет, почему подписка иногда продолжает списываться после перевыпуска карты — токен обновился вместе с ней.

Как Apple Pay, Google Pay и Samsung Pay платят через токен?

Все три кошелька работают по одной схеме: кошелек передает карту платежной системе, та проверяет ее у банка и выпускает токен для конкретного телефона. Разница — в том, где хранится токен и чем вы подтверждаете оплату.

Если банк на третьем шаге не отвечает или отказывает, кошелек пишет, что карта не поддерживается или эмитент ее не принимает. Магазин и терминал на этот отказ не влияют.

Почему российская карта не токенизируется?

Потому что с весны 2022 года Visa и Mastercard не выпускают токены для карт российских банков: сервисы токенизации принадлежат платежным системам, а они прекратили работу с этими банками. Без токена карту нельзя добавить ни в Apple Pay, ни в Google Pay, ни в Samsung Pay.

Где сейчас принимают «Мир» за рубежом, разобрано в статье карта «Мир» за границей, а что с Apple Pay внутри России — в материале Apple Pay и Google Pay в России.

Какую зарубежную карту можно добавить в кошелек?

Добавить можно карту банка, который сам подключен к Apple Pay, Google Pay или Samsung Pay в своей стране, — и только тот тип карты, для которого банк включил токенизацию. Гарантировать это заранее по стране нельзя: в одной стране один банк кошельки поддерживает, другой нет, а виртуальные карты иногда подключены иначе, чем пластик.

• Банк-эмитент в списке партнеров кошелька. Apple и Google публикуют списки банков по странам, это первая проверка.
• Тип карты. Предоплаченные и некоторые виртуальные продукты банк может не токенизировать, даже если обычный пластик добавляется.
• Регион телефона и аккаунта. Кошелек может не показывать добавление карты, если в настройках указан регион, где он не работает.
• Где вы будете платить. В России токен зарубежной карты в терминале, как правило, не пройдет: российские эквайеры не обслуживают Visa и Mastercard иностранных банков. Кошелек пригодится за границей и в интернете.

Поддерживает ли кошелек конкретная карта, которую вы выбираете, мы уточняем на консультации до оформления, а не после. Как платить телефоном виртуальной картой, разобрано в статье виртуальная карта для Apple Pay и Google Pay. Все варианты — на странице виртуальные карты.

Безопаснее ли платить токеном, чем картой?

Да: токен не раскрывает номер карты, работает на одном устройстве, а каждую оплату подтверждает одноразовая криптограмма. Даже если магазин допустит утечку, по токену из его базы нельзя заплатить в другом месте.

Слабое место одно — сам телефон. Если он разблокирован и попал в чужие руки, платить можно, пока вы не удалите карту из кошелька. Поэтому при потере телефона первым делом удаляют карты через сервис поиска устройства или блокируют токен в приложении банка — сама карта при этом продолжает работать.

Вопросы и ответы